一款好用的 java 代码审计工具

“铲子”SAST工具介绍

一、产品定位

“铲子”是一款简单易用的SAST（静态应用程序安全测试）工具，旨在为安全工程师提供一款简单、好用、价格厚道的JAVA代码安全扫描产品。

二、功能介绍

支持语言: java（spring、dubbo、mybatis、thrift、jsp等）

采用技术：轻量级污点分析，铲子会将java、jsp、xml、yaml、properties等文件分析并构建数据流图（无需编译），然后进行污点分析。

支持漏洞：内置了 sql 注入、命令注入、文件上传、ssrf 等常见漏洞规则，用户可以自定义规则。

扫描报告：生成简单的漏洞报告，包括漏洞类型、风险等级、漏洞位置及数据流，帮助开发人员快速定位和解决问题。

其他特性：反编译扫描、跳转到类型/定义、变量的数据流上下游跳转、代码大纲、代码检索、漏洞标记等。

三、快速开始

1、点击工具栏左侧的新建任务。

2、填写代码信息，可以选择本地代码或远程Git地址。

3、如果你需要扫描编译后的 jar或 class 文件可以勾选反编译。

4、点击开始，任务完成创建，扫描包括以下阶段：反编译>代码分析>规则执行。

四、最新版本下载

下载安装：访问“铲子”官方网站www.chanzikeji.com，选择合适的安装包进行下载并安装。

配置环境：铲子内置了Java运行环境，无需额外的环境配置。

新版本特性：您可以关注我们的微信服务号"铲子SAST"，我们会及时发布新版本的相关特性。

五、技术支持与社区

技术支持：您可以在GitHub 提交 bug、需求或发起讨论来进行技术交流。

产品文档：GitHub上提供了详细的文档，您可以根据文档快速上手使用。

售后支持：可以在我们的微信服务号"铲子SAST"联系客服人员。

铲子官网：https://www.chanzikeji.com

Github：https://github.com/Chanzi-keji/chanzi